Do druku nr 1955 - opinia PIKE

Do rządowego projektu zmiany ustawy o krajowym systemie cyberbezpieczeństwa (przenoszącego do polskiego prawa unijną dyrektywę o cyberbezpieczeństwie zwaną NIS2) opinię przesłała Polska Izba Komunikacji Elektronicznej (PIKE) - organizacja zrzeszająca firmy telekomunikacyjne i internetowe. Izba nie kwestionuje samego pomysłu wzmocnienia ochrony przed cyberatakami, ale ostrzega, że część proponowanych przepisów nakłada na firmy - zwłaszcza te najmniejsze - obowiązki i kary nieproporcjonalne do ich wielkości i przychodów. PIKE proponuje osiem konkretnych poprawek, które mają złagodzić te skutki bez obniżania poziomu bezpieczeństwa.

• Obniżenie maksymalnej kary pieniężnej ze 100 milionów złotych do poziomu wymaganego przez unijne przepisy (7 mln euro dla firm ważnych, 10 mln euro dla firm kluczowych).
• Usunięcie dodatkowych kar dobowych - dziś urząd mógłby nałożyć nawet 100 000 złotych za każdy dzień zwłoki w wykonaniu decyzji, także na mikroprzedsiębiorcę.
• Zrównanie obowiązków firm prywatnych i instytucji publicznych albo złagodzenie wymogów dla mikro i małych firm telekomunikacyjnych, na wzór ulg przewidzianych dla sektora publicznego.
• Doprecyzowanie zasad liczenia wielkości firmy, żeby mały operator działający w grupie kapitałowej nie był automatycznie traktowany jak duży gracz bez możliwości wyjątku.
• Ograniczenie natychmiastowej wykonalności kar i decyzji o zamknięciu działalności - tak, aby odwołanie do sądu faktycznie wstrzymywało ich wykonanie.

Opinię przesłała Polska Izba Komunikacji Elektronicznej (PIKE), reprezentująca firmy telekomunikacyjne, w trosce o proporcjonalność kosztów i kar dla najmniejszych przedsiębiorców z tej branży.

Ten dokument nie dotyczy bezpośrednio zwykłych obywateli - to spór między rządem a branżą telekomunikacyjną o wysokość kar i zakres obowiązków. Może jednak pośrednio dotknąć każdego, kto korzysta z internetu czy telefonu od mniejszego, lokalnego dostawcy. Jeśli jesteś klientem małej, lokalnej firmy internetowej, a nie dużego ogólnopolskiego operatora, to w praktyce koszty wdrożenia nowych obowiązków cyberbezpieczeństwa oraz ryzyko wysokich kar mogą przełożyć się na wyższe ceny usług, gorszą jakość obsługi, a nawet decyzję firmy o wycofaniu się z mniej opłacalnych rejonów. Jeśli jesteś właścicielem lub pracownikiem małej firmy telekomunikacyjnej, ryzykujesz karę nawet do 100 milionów złotych za naruszenie nowych przepisów - taką samą jak duży operator, mimo dużo mniejszych przychodów.

Cały dokument to opinia jednej instytucji - Polskiej Izby Komunikacji Elektronicznej (PIKE), reprezentującej firmy telekomunikacyjne. Izba nie neguje potrzeby wzmocnienia cyberbezpieczeństwa, ale zgłasza poważne zastrzeżenia: kary finansowe w projekcie są wyższe niż wymaga tego unijna dyrektywa o cyberbezpieczeństwie (NIS2), obowiązki nierówno traktują firmy prywatne i instytucje publiczne, a przepisy o karach dobowych i natychmiastowej wykonalności decyzji uznaje za nieproporcjonalne wobec najmniejszych przedsiębiorców. Innych opinii ani stanowisk do tego dokumentu nie dołączono.

Ten dokument to opinia zewnętrznej organizacji, więc nie zawiera własnej Oceny Skutków Regulacji (OSR) - taką ocenę powinien zawierać sam projekt ustawy, a nie pismo PIKE. Z treści opinii wynika jednak, że jeśli postulaty PIKE nie zostaną uwzględnione: blisko 4 tysiące firm telekomunikacyjnych w Polsce, w tym wielu mikro i małych przedsiębiorców, będzie podlegać nowym obowiązkom cyberbezpieczeństwa pod groźbą kary do 100 milionów złotych oraz dodatkowych kar do 100 000 złotych za każdy dzień zwłoki w wykonaniu decyzji urzędu. Jeśli natomiast proponowane przez PIKE zmiany zostałyby uwzględnione, obowiązki i kary byłyby bardziej dopasowane do wielkości firmy, a najmniejsi operatorzy zyskaliby łagodniejsze zasady, podobne do tych przewidzianych dla instytucji publicznych.

PIKE przesłała opinię 2 grudnia 2025 r., na wczesnym etapie prac nad rządowym projektem. Od tego czasu ustawa przeszła całą ścieżkę legislacyjną - Prezydent już ją podpisał.

Główny spór dotyczy wysokości kar: rząd chce kary do 100 milionów złotych, czyli więcej niż wymaga unijna dyrektywa o cyberbezpieczeństwie (maksymalnie ok. 7-10 milionów euro). Rząd argumentuje to potrzebą skutecznego egzekwowania przepisów, PIKE - że to nieproporcjonalne obciążenie, zwłaszcza dla mikro i małych firm telekomunikacyjnych, stawiające polskie firmy w gorszej pozycji konkurencyjnej niż firmy z innych krajów Unii Europejskiej. Drugi spór dotyczy nierównego traktowania firm prywatnych i instytucji publicznych - te drugie mają mieć łagodniejsze obowiązki, mimo że unijne przepisy nie przewidują takiego rozróżnienia.